حملات Carding چیست؟

حملات کارتینگ (Carding Attack) – که همچنین به عنوان پر کردن کارت اعتباری شناخته می شود – نوعی جرایم سایبری است که در آن مجرمان به نام “کاردر (Carder)” شناخته می شوند، شماره کارت های اعتباری یا بانکی سرقت شده را به دست می آورند، اعتبار آنها را تأیید می کنند و از آنها برای خرید کالا یا فروش اطلاعات آنها به مجرمان دیگر برای بهره برداری استفاده می کنند.

اطلاعات دزدیده شده ممکن است شامل ترکیبی از نام صاحب حساب، شماره کارت بانکی، تاریخ انقضا، کد CVV، کد پستی و تاریخ تولد باشد.

سپس کاردر هر شماره حساب را با استفاده از یک شبکه ربات برای خریدهای کوچک در چندین سایت حاوی پرداخت آنلاین با استفاده از ترکیب‌های مختلف شماره کارت اعتباری، تاریخ انقضا و کدهای CVV2 احراز هویت می‌کند. این ربات ها می توانند هزاران تراکنش را در مدت زمان کوتاهی برای شناسایی ترکیبات معتبر انجام دهند. برای مثال، اگر کاردر شماره کارت و تاریخ انقضا را داشته باشد، اما کد ۳ رقمی CVV را نداشته باشد، یک ربات می‌تواند به سرعت با استفاده از همه ۹۹۹ کد ممکن، تراکنش‌ها را انجام دهد تا زمانی که کد صحیح شناسایی شود.

هنگامی که اطلاعات کارت احراز هویت شد، کاردر می‌تواند کارت‌های هدیه را به صورت آنلاین خریداری کند، یک کارت فیزیکی را شبیه‌سازی کند و یا برای کسب سود سریع، آن‌ها را در دارک وب بفروشد.

حملات کارتینگ چگونه کار می کنند؟

مراحل معمول در حمله کارتینگ (Carding Attack) عبارتند از:

1. دارنده کارت، فهرستی از شماره‌های کارت بانکی را به دست می‌آورد، اغلب از طریق کلاهبرداری‌های فیشینگ، هک وب سایت یا با خرید فهرست‌هایی از شماره‌های دزدیده شده در دارک وب.
2. سپس کارت‌ها از ربات‌ها برای آزمایش لیست اطلاعات کارت بانکی یا بدهی سرقت شده با خریدهای آنلاین کم‌ارزش استفاده می‌کنند تا تأیید کنند اطلاعات حساب معتبر هستند و گزارش سرقت نشده‌اند. این فرآیند می‌تواند هزاران تلاش را انجام دهد تا اینکه کارت اعتباری معتبری به دست آورد، اما با توجه به اینکه ربات‌ها این کار را بسیار سریع‌تر از یک انسان انجام می‌دهند، این فرآیند اعتبارسنجی معمولاً بسیار سریع است.
3. مجرمان سپس فهرستی از اطلاعات کارت های معتبر را تهیه می کنند که از آن برای بازیابی مستقیم وجوه از حساب های مرتبط، خرید کارت های هدیه، خرید کالاهای با ارزش بالا یا فروش لیست تایید شده به مجرمان دیگر برای بهره برداری استفاده می کنند.

بیشتر بخوانید: هک AnonymousFox چیست

چرا کاردرها از ربات ها برای انجام حملات کارتی استفاده می کنند؟

ربات‌ها که برنامه‌هایی هستند که برای اجرای خودکار مجموعه‌ای از دستورالعمل‌ها طراحی شده‌اند، به دارندگان اطلاعات کارت بانکی امکان می‌دهند تا سرعت و در نتیجه مقیاس حمله کارتینگ را به میزان قابل توجهی افزایش دهند.

بدون اتوماسیون، کاردر باید به صورت دستی شماره کارت و تاریخ انقضای احتمالی و ترکیب کد امنیتی را وارد کند تا بتواند کارت معتبر را شناسایی کند. ربات‌ها این فرآیند را خودکار می‌کنند تا دارنده اطلاعات کارت، بتواند حجم زیادی از کارت‌ها را آزمایش کند و حمله را ۲۴ ساعت شبانه‌روز اجرا کند.

ربات‌ها همچنین به کاردر این امکان را می‌دهند که به سرعت آدرس IP را که از آن حمله می‌کنند تغییر دهد. این کار، باعث می شود که شناسایی و مسدود کردن حمله را برای فناوری‌های سنتی ضد تقلب بسیار دشوارتر کند.

یک تاجر از کارتینگ با چه خطرات و مجازات هایی روبروست؟

حمله Carding نه تنها بر شخصی که کارت وی در معرض خطر قرار گرفته است تأثیر می گذارد، بلکه خریداران آنلاین نیز می توانند در صورت ضربه خوردن حمله کارتینگ بهای سنگینی را بپردازند.

خرده فروشان مسئول کنترل سطح امنیتی بازپرداخت و کارت پرداخت (CNP) هستند. شبکه های پرداخت مانند Visa و Mastercard آستانه بازپرداخت وجه و کلاهبرداری از کارت اعتباری CNP را کاهش می دهند و خریداران را با افزایش جریمه ها و هزینه ها مسئول می دانند. پردازشگرهای پرداخت، می توانند تمام تراکنش ها را مسدود کنند اگر حملات کارتینگ به سرعت کنترل نشود که می تواند منجر به از دست رفتن درآمد برای خرده فروش شود.

نه تنها خرده‌فروش باید با بازپرداخت وجه و درآمد از دست رفته مقابله کند، بلکه با احتمال آسیبی که به شهرت برند و وفاداری مشتری وارد می‌شود که می‌تواند سال‌ها باقی بماند.

مطلب پیشنهادی: backdoor های یونیکد در وردپرس چیست؟

کرک کارت چیست؟

کرک کردن نوعی کارتینگ است که در آن مهاجمان از اتوماسیون مبتنی بر ربات برای آزمایش سیستماتیک حجم زیادی از کدهای کارت هدیه احتمالی در سایت فروشنده به منظور شناسایی ترکیبات معتبر استفاده می کنند. سپس گیفت کارت‌های دزدیده شده مجدداً در دارک وب فروخته می‌شوند یا برای خرید کالاهایی که به صورت نقدی فروخته می‌شوند، استفاده می‌شوند.

کلاهبرداری از کارت های هدیه آنلاین به ویژه برای مجرمان سایبری جذاب است زیرا کارت های هدیه هیچ نام، آدرس یا کد پستی مرتبط با آنها ندارند، به این معنی که می توانند به صورت ناشناس راحت تر از کارت های اعتباری استفاده شوند.

علاوه بر این، بسیاری از خریداران آنلاین صفحه وب خاصی را برای بررسی موجودی کارت هدیه ارائه می‌کنند، که معمولاً از سطح امنیتی مشابهی با صفحات کارت اعتباری برخوردار نیست و می‌تواند به راحتی توسط ربات‌های کرک کارت مورد سوء استفاده قرار گیرد.

کلاهبرداری کارتینگ یک تهدید رو به رشد است

در ایالات متحده، تأثیر اجتماعی-اقتصادی ایجاد شده توسط Covid-19، تجارت آنلاین و استفاده از کارت های هدیه بانکی را به شدت افزایش داده است. وزارت بازرگانی بیش از ۳۰ درصد رشد سالانه در تجارت الکترونیک ایالات متحده از سال ۲۰۱۹ تا ۲۰۲۰ را گزارش کرد و KPMG نیز افزایش ۱۱۷ درصدی را در فروش کارت های هدیه و کوپن های الکترونیکی در مدت مشابه گزارش داد. بر اساس تحقیقات اولیه، به نظر می رسد این افزایش هزینه در سال ۲۰۲۱ ادامه داشته باشد. علاوه بر این، آخرین پیش بینی ها نشان می دهد که بازار جهانی کارت هدیه تا پایان سال ۲۰۲۷ به ۴۴۰٫۷ میلیارد دلار خواهد رسید.

این رشد عظیم در تجارت الکترونیک، کلاهبرداری آنلاین را به طور فزاینده ای برای گروه های جنایتکار سازمان یافته و دارندگان اطلاعات کارت،جذاب کرده است. بر اساس اطلاعات دریافتی، ضرر کارت هدیه الکترونیکی مربوط به کلاهبرداری به تنهایی ۹۵۰ میلیون دلار در سال ۲۰۲۰ برآورد شد. این را به حجم بسیار بزرگتر کلاهبرداری از کارت بانکی اضافه کنید و ضررهای قابل توجهی را به همراه خواهد داشت.

با افزایش ابعاد هدف، مجرمان سایبری توانایی خود را تقویت می کنند. محققان امنیتی در حال کشف ربات‌های پیچیده‌تری هستند که می‌توانند از نزدیک رفتار انسان را منعکس کنند و تشخیص آنها را برای فناوری‌های امنیتی سنتی بسیار دشوار می‌کند.

تاکتیک های رایج ضد تقلب

در حالی که مجرمان سایبری با حملات خود به طور فزاینده ای پیچیده شده اند، بسیاری از خرده فروشان آنلاین از این روش پیروی نکرده و همچنان بر تاکتیک های امنیتی سنتی یا ناکارآمد تکیه می کنند. بسیاری از سایت‌ها تلاش می‌کنند تا حملات ربات‌ها را به سادگی با استفاده از روش‌های CAPTCHA مسدود کنند، اما CAPTCHAها اغلب کاربران واقعی را اذیت می‌کنند و باعث از دست رفتن می‌شوند.

رویکرد دیگر شامل ایجاد لیست‌های بلاک از اپراتورهای ربات مخرب شناخته شده و آدرس‌های IP و دامنه‌های مشکوک است، اما مجرمان سایبری به اندازه کافی زرنگ هستند که با ایجاد دامنه‌های جدید و ترکیب‌های نام میزبان از شناسایی فرار کنند.

برخی از سایت‌ها تلاش می‌کنند تعداد دفعاتی را که کاربر می‌تواند یک عمل را در یک صفحه وب تکرار کند، مانند بررسی موجودی کارت هدیه در یک بازه زمانی خاص، محدود کنند. این به عنوان محدود کننده نرخ، شناخته می شود. متأسفانه، محدود کردن نرخ اغلب در برابر حملات بیش از حد توزیع شده مبتنی بر ربات بی اثر است.

سایر بازرگانان برای هر تراکنش کارت اعتباری یا کارت هدیه از راه حل کلاهبرداری استفاده می کنند که می تواند هزینه زیادی داشته باشد. چک‌های کلاهبرداری از کارت اعتباری همچنین به تاخیر تراکنش می‌افزاید، تجربه راحتی پرداخت را به شدت کند می‌کند و منجر به رها شدن سبد خرید از سوی کاربران قانونی و واقعی می‌شود.